[發明專利]一種基于遷移學習的電力終端異常數據生成方法

有效

• 申請號: 202010650550.3
• 申請日: 2020-07-08
• 公開（公告）號: CN111865947B
• 公開（公告）日: 2021-07-20
• 發明（設計）人: 徐文淵;厲彥杰;姜棟瀟;周宏偉;蘇闊;李成鋼;張力;郭琪;裴文洋;劉超;徐峰;冀曉宇
• 申請（專利權）人: 浙江大學;國網吉林省電力有限公司電力科學研究院;國網吉林省電力有限公司;吉林省電力科學研究院有限公司;國家電網有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;G06K9/62;G06N3/04;G06N3/08;G06Q50/06
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 鄭海峰

1.一種基于遷移學習的電力終端異常數據生成方法，其特征在于，包括以下步驟：

步驟1：采集電力終端的正常報文樣本、以及相同協議的非電力終端的正常報文樣本和攻擊報文樣本；對報文樣本進行預處理，得到預處理后的訓練樣本集；所述預處理后的訓練樣本集中每一條報文樣本均包括TCP協議內容和工控協議內容；

步驟2：根據每一條報文樣本的TCP協議內容和工控協議內容構造鍵值對，每一個鍵值對由一個輸入值和輸出值構成，根據嵌入向量表得到每一條報文樣本的嵌入向量表示；所述的步驟2具體為：

步驟2.1：根據每一條報文樣本的TCP協議內容和工控協議內容構造L個鍵值對，每一個鍵值對由一個輸入值和輸出值構成，所述的輸入值和輸出值包括源IP地址、目的IP地址、源端口號、目的端口號、字節數、包數、連接持續時間；

步驟2.2：將預處理后的訓練樣本集中每一條報文樣本對應的鍵值對作為word2vec模型的訓練樣本進行訓練，得到每一個鍵值的嵌入向量，構成嵌入向量表；

步驟2.3：根據嵌入向量表得到每一條報文樣本的嵌入向量表示X_i＝{x_i1,x_i2,…,x_iN},x_ij∈R^k，N表示每一條報文樣本包含N個鍵值，k為x_ij的維度；

步驟3：構建由編碼器、第一解碼器和第二解碼器組成的多解碼器Seq2Seq神經網絡，將每一條報文樣本的嵌入向量表示X_i作為編碼器的輸入，獲得編碼后的特征向量Z_i∈R^h，h表示特征向量Z_i的維度；再將特征向量Z_i分別作為兩個解碼器的輸入；

步驟4：對步驟3構建的多解碼器Seq2Seq神經網絡進行訓練；所述的步驟4具體為：

步驟4.1：訓練編碼器：

采用生成式對抗網絡對編碼器進行訓練，所述的生成式對抗網絡由待訓練的編碼器和一個分類器構成；所述分類器的輸入是不同設備的報文樣本對應的特征向量Z_i，分類器的輸出為設備的分類結果，訓練目標為最大化分類器的分類損失；步驟4.2：訓練解碼器：

首先對第一解碼器進行訓練：將預處理后的訓練樣本集中電力終端的正常報文樣本作為第一訓練樣本，將第一訓練樣本的嵌入向量作為編碼器的輸入，將編碼器的輸出作為第一解碼器的輸入進行訓練，得到訓練好的第一解碼器；

再對第二解碼器進行訓練：將預處理后的訓練樣本集中非電力終端的正常報文樣本和攻擊報文樣本作為第二訓練樣本，將第二訓練樣本的嵌入向量作為編碼器的輸入，將編碼器的輸出作為第二解碼器的輸入進行訓練，得到訓練好的第二解碼器；

步驟5：將報文樣本的嵌入向量表示X_i作為訓練好的多解碼器Seq2Seq神經網絡的輸入，若報文樣本來自于電力終端，則第一解碼器開啟，第二解碼器關閉，由第一解碼器輸出預測報文向量；若報文樣本來自于非電力終端，則第二解碼器開啟，第一解碼器關閉，由第二解碼器輸出預測報文向量；最后通過步驟2所述的嵌入向量表將所述的預測報文向量轉化為預測報文，完成電力終端異常數據的生成。

2.根據權利要求1所述的一種基于遷移學習的電力終端異常數據生成方法，其特征在于，所述的步驟1具體為：

步驟1.1：采集電力終端的歷史流量數據作為報文樣本，包括P個正常報文樣本和N個來自相同協議的攻擊報文樣本；

步驟1.2：對報文樣本進行預處理，首先提取每一條報文中的TCP協議內容和工控協議內容，采用分箱法對協議內容進行去噪處理，通過臨近值的均值替代噪聲值，構成原始訓練樣本集D；

步驟1.3：判斷正常報文樣本和攻擊報文樣本的數量，若N＜P/10，則通過過采樣處理，隨機復制攻擊報文樣本來增加攻擊報文樣本的數量，否則不進行處理，得到完成預處理后的訓練樣本集D′，訓練樣本集D′中的樣本數量為

3.根據權利要求1所述的一種基于遷移學習的電力終端異常數據生成方法，其特征在于，所述的工控協議內容數據為IEC 60870-5-104協議內容。